別名:

Trustezeb

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    バックドア型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい


  詳細

メモリ常駐 はい

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\{random folder name}\{random file name 1}.exe
  • %User Temp%\{random file name 2}.pre

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder name}\{random file name 1}.exe"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegedit = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableRegedit = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}hi.com/images/1.php
  • http://{BLOCKED}isx.com/ca.php
  • http://{BLOCKED}isxf.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}ldezovc.com/img/1.php
  • http://{BLOCKED}solde.com/images/1.php
  • http://{BLOCKED}rfe.com/img/1.php
  • http://{BLOCKED}rz.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}z.com/ad.php
  • http://{BLOCKED}pvsje.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}soldevsje.com/af.php
  • http://{BLOCKED}xdv.com/img/1.php
  • http://{BLOCKED}-oum.com/twep.php
  • http://{BLOCKED}xrz.com/as.php
  • http://{BLOCKED}zxrz.com/inbox.php
  • http://{BLOCKED}zxrz.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}esscorn.net/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}fwieg.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}wieg.com/aa.php
  • http://{BLOCKED}wieg.com/inbox.php
  • http://{BLOCKED}wiw.com/img/1.php
  • http://{BLOCKED}dkiu.com/odriwsd/forum.php
  • http://{BLOCKED}ebspace-apo.com/inbox.php
  • http://{BLOCKED}ebspace-apo.com/user-057708/forumv.php
  • http://{BLOCKED}ehppf.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}nlines.com/inbox.php
  • http://{BLOCKED}hppf.com/aa.php
  • http://{BLOCKED}omn.com/images/1.php
  • http://{BLOCKED}online.com/inbox.php
  • http://{BLOCKED}solderx.net
  • http://{BLOCKED}solderx.net/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}solderxx.com/ag.php
  • http://{BLOCKED}solderxx.com/inbox.php
  • http://{BLOCKED}story.net/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}rect-proxy.com/inbox.php
  • http://{BLOCKED}nvw.com/TPR0-QQWSKA-423PZS.php
  • http://{BLOCKED}-gt.com/inbox.php